Süresi dolan sertifikaların çoğu "bilmiyorduk" değil, "kimse hatırlatmadı" nedeniyle dolar. Kademeli alarm sistemi bu boşluğu kapatır.
Alarm eşikleri
- 60 ve 30 gün: bilgilendirme; sipariş ve doğrulama sürecini başlatmak için zaman var.
- 14 gün: uyarı; henüz yenilenmediyse sorumlu ve yöneticisi bilgilendirilir.
- 7 gün ve 3 gün: kritik; olay müdahale kanalına (mesaj grubu, arama) düşer.
- Süresi dolmuş: en yüksek öncelik.
Basit komut satırı kontrolü
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -checkend 2592000-checkend saniye cinsinden bir süre alır (2592000 yaklaşık 30 gündür). Sertifika bu süre içinde dolacaksa komut "Certificate will expire" yazar ve sıfırdan farklı kodla çıkar; bu sonucu bir cron işinde kullanabilirsiniz.
Cron ile e-posta bildirimi
0 8 * * * /usr/local/bin/ssl_kontrol.sh || mail -s "SSL uyarisi" ops@example.com < /tmp/ssl_kontrol.logKurulum ilkeleri
- Birden fazla alıcı: tek kişiye bağlı bildirim, o kişi izinliyken işe yaramaz. Ortak bir liste kullanın.
- Yalnızca sertifikayı değil, bağlantıyı da sınayın: zincir ve ana bilgisayar adı uyuşmazlığı da bildirim üretmeli.
- Alarmı test edin: eşiği geçici olarak yükselterek bildirimin gerçekten ulaştığını doğrulayın.
- Alarm yorgunluğundan kaçının: her gün tekrarlayan bildirimi yalnızca kritik eşiklerde yapın.
Kurumsal izleme araçları (Nagios, Zabbix, Prometheus) aynı mantığı daha kapsamlı sunar. Hızlı bir el kontrolü için SSL kontrol aracından yararlanabilirsiniz. Kendi sertifikalarımızın bitişini öğrenmek için Türkçe teknik destek kanalına da ulaşabilirsiniz.
Alarmı besleyecek envanter
Alarm, yalnızca bildiğiniz alan adlarını denetleyebilir. Bu yüzden kontrol betiğinin okuduğu liste envanterle senkron tutulmalıdır. Yeni alt alan adı eklendiğinde kontrol listesine de eklenmesini yeni site açılış kontrol listesinin bir maddesi yapın. Posta sunucusu, API uç noktası ve yönetim paneli gibi 443 dışı TLS hizmetlerini de unutmayın.